De nieuwe privacywetgeving in vogelvlucht toegelicht voor de OR-praktijk. Mr. Ineke van de Pas en mr. drs. Manouk Milbou 16 maart 2018

Transcriptie

1 De nieuwe privacywetgeving in vogelvlucht toegelicht voor de OR-praktijk Mr. Ineke van de Pas en mr. drs. Manouk Milbou 16 maart 2018

2 Inhoud - Wat is privacy? - Waarom nu veranderingen? - Wet- en regelgeving oud&nieuw - Definities, uitgangspunten, rollen, grondslagen AVG - Rol van de ondernemingsraad - Rechten individuele werknemers Zeer beperkte tijd dus alleen de absolute hoofdlijnen van de AVG! De basis van de basis

3 Wat is privacy? Verschil tussen privédomein, openbaar domein en op het werk. Let op verschil tussen privacy en persoonsgegevens!

4 Waarom nieuwe regels? Digitalisering van de samenleving Grotere risico s voor individuen

5 Wet- en regelgeving Nu: Europese Privacyrichtlijn Wet bescherming persoonsgegevens (Wbp) Vrijstellingsbesluit Wbp en andere besluiten en regels Wbp Vanaf 25 mei 2018: Algemene Verordening Gegevensbescherming (AVG / Privacyverordening) Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) Geldt in alle landen van de Europese Unie Voor commerciële en niet-commerciële organisaties In de publieke, semi-publieke en private sector De WOR verandert niet!

6 AVG: twee sleutelwoorden Van toepassing op geheel of gedeeltelijke geautomatiseerde verwerking van persoonsgegevens, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen (artikel 2 lid 1 Verordening)

7 Definitie verwerking Verwerking: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens

8 Definitie persoonsgegevens Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon ( de betrokkene ); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon

9 Voorbeelden verwerking persoonsgegevens Verwerking persoonsgegevens binnen de arbeidsverhouding: - Naam werknemer - Opleidingen - Geboortedatum - Aanwezigheid - Salaris/Benefits - Ziekteverzuim - Beelden bewakingscamera - Foto op badge Denk aan de salarisadministratie, verzuimregistratie, aanwezigheidsregistratie etc.

10 Verschillende rollen De AVG kent kortgezegd- verschillende rollen. De belangrijkste drie: de verantwoordelijke, de verwerker en de betrokkene. De werkgever is veelal verantwoordelijke en draagt dus risico bij fouten! Verantwoordelijke kan ook zijn: het UWV, de Belastingdienst, de Arbodienst etc. De werknemer is de betrokkene, maar ook anderen! Er kunnen meerdere verantwoordelijken, verwerkers en betrokkenen zijn in één casus.

11 Rollencasus Voorbeeld: wie heeft welke rol? Organisatie A besteedt de verwerking van het salaris uit aan De Salariskoning. Piet Klaassen is werknemer van organisatie A en tekent een arbeidsovereenkomst. Hierop vult hij zijn persoonsgegevens in, waaronder zijn bankrekeningnummer. De Salariskoning maakt de loonstrookjes en het jaaroverzicht, verwerkt salarissen en caoverhogingen of jaarlijkse verhogingen, legt toeslagen vast, maakt een overzicht voor de Belastingdienst en betaalt het salaris aan de werknemer.

12 Uitgangspunt: doelbinding Persoonsgegevens alleen verwerken voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden (doelbinding). Mag een werkgever de personeelsadministratie gebruiken voor Het toezenden van een bloemetje bij ziekte? Toesturen van een nieuwe interne gedragscode? Aanbieden van eigen producten of diensten tegen korting? Sturen van reclame van bevriende ondernemingen? Geef je de persoonsgegevens door aan een andere partij? Of verzend je een mailing namens een andere partij?

13 Uitgangspunt: minimale verwerking Verwerking moet toereikend zijn, ter zake dienend en beperkt tot wat voor het doel noodzakelijk is (minimale verwerking) Denk aan camera s: Is beperking / minimale verwerking van de camerabeelden mogelijk: Geografisch (bepaalde plaatsen niet) Datagestuurd (bepaalde privé-data niet) Tijdgerelateerd (niet continue, steekproef) Denk ook gegevens werknemer: Is het nodig naam van partner of kinderen te verwerken? Is het nodig beperkingen van de werknemer te verwerken?

14 Uitgangspunt: opslag beperken Niet langer bewaren dan noodzakelijk (opslagbeperking) Wordt regelmatig getoetst of alle gegevens nog relevant, juist en actueel zijn? Worden oude gegevens verwijderd? Zijn er vaste afspraken hoe lang bepaalde zaken worden bewaard (camerabeelden, functioneringsgesprekken, dossiers vertrokken werknemers etc.)?

15 Uitgangspunt: beveiliging Passende technische en organisatorische maatregelen voor verwerking en beveiliging Technisch Updates, virusscan, software, logging, wijziging ww Hardware (servers, usb-sticks, laptops) Gesloten ruimtes, kasten, pasjessysteem Zoveel minimaal mogelijk en anonimiseren en pseudonimiseren Organisatorisch Beveiligingstoegangsniveaus Trainingen (in opleidingscyclus mee: artikel 27f WOR!)

16 Zes grondslagen verwerking I Toestemming betrokkene (1): elke vrije, specifieke, geïnformeerde, en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt. Hoe vrij is een werknemer? Bijzonder geval! Eenmaal gegeven toestemming mag altijd worden herroepen!

17 Zes grondslagen verwerking II Verwerking noodzakelijk voor uitvoering van de (arbeids-) overeenkomst (2) Verwerking noodzakelijk om aan wettelijke verplichting te voldoen (3) Verwerking noodzakelijk voor vitale belangen betrokkene of ander natuurlijk persoon (4) Verwerking noodzakelijk voor vervulling taak algemeen belang/uitoefening openbaar gezag (5)

18 Zes grondslagen verwerking III Verwerking noodzakelijk voor behartiging gerechtvaardigde belangen verwerkingsverantwoordelijke of een derde, behalve wanneer belangen of grondrechten en de fundamentele vrijheden van betrokkene, zwaarder wegen dan die belangen (belangenafweging werkgever-werknemer) (6) Geldt niet voor verwerking door overheidsinstanties in het kader van de uitoefening van hun taken Moeilijk bij voorbaat in te schatten

19 Bijzondere persoonsgegevens I Bijzondere persoonsgegevens zijn Ras of etnische afkomst Politieke opvattingen Religieuze of levensbeschouwelijke overtuigingen Lidmaatschap vakbond Genetische gegevens en biometrische gegevens met het oog op de unieke identificatie van een persoon Gegevens over gezondheid Gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid Strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen (alleen onder toezicht overheid) Hoofdregel: verwerking van bijzondere persoonsgegevens is verboden, tenzij.. strikte uitzonderingsgrond van toepassing.

20 Rechten OR: privacybril! Overlegrecht artikel 24 WOR Informatierecht Initiatiefrecht artikel 23 lid 3 WOR Extra rechten ex artikel 32 WOR, Ondernemingsovereenkomst Adviesrecht Instemmingsrecht

21 Voorbeeld instemmingsrecht Instemmingsrecht artikel 27 WOR Sub k: een regeling omtrent het verwerken van alsmede de bescherming van persoonsgegevens van de in de onderneming werkzame personen Sub l: een regeling inzake voorzieningen die gericht zijn op of geschikt zijn voor waarnemingen van of controle op aanwezigheid, gedrag of prestaties van de in de onderneming werkzame personen

22 En de OR zelf: let op! Privacy ook bij eigen werk OR. Denk aan verstrekken gegevens aan vakbond in kader verkiezingen: Geen verplichting in WOR of AVG Prevaleert belang vakbond boven het privacybelang van werknemer? Minst verstrekkende optie: vakbond moet zelf administratie op orde hebben Bijzondere persoonsgegevens! Dus: niet verstrekken! Maar denk ook aan digitale verkiezingen & privacy!

23 Rechten individuele werknemers Nog even snel de rechten van werknemers Recht van inzage + kopie Recht op rectificatie Recht op gegevenswissing Recht op beperking van de verwerking Recht op overdraagbaarheid gegevens Recht van bezwaar Recht om niet onderworpen te worden aan geautomatiseerde individuele besluitvorming, waaronder profilering

24 VRAGEN? Ineke van de Pas en Manouk Milbou Prof. Cobbenhagenlaan DB Tilburg Tel: en

25 De Voort Advocaten Mediators Juridische ondersteuning door adviseren, bemiddelen en procederen We blinken uit in verschillende rechtsgebieden: - Vastgoed en overheden - Ondernemingsrecht - Insolventierecht - Arbeidsrecht - Personen- en familierecht - Medezeggenschapsrecht - Zorgrecht en sportrecht - Mediation